04 漏洞发现：使用 Burp Suite 查看并修改请求

Burp Suite 和 OWASP ZAP 类似，不仅仅是一个Web代理器，还包含很多其它的测试工具（代理、请求重发器、请求自动化工具、字符串加解密、漏洞扫描<专业版提供>等），这篇文章，我们使用这个工具完成和上一篇文章一样的操作：拦截并修改请求。

启动Burp Suite并配置浏览器走Burp的代理。

实施步骤

浏览器访问http://192.168.56.102/mutillidae/

Burp的代理配置默认开启了请求拦截，因此它能够抓取第一个请求。我们需要到Burp的Proxy标签页，点击** Intercept is on **按钮，暂时先关闭拦截功能，关闭后如下图所示：

Paste_Image.png

跟上一篇文章一样，把应用的安全级别调整为：

Paste_Image.png

从左侧导航栏，进入页面：OWASP Top 10 | A1 – SQL Injection | SQLi – Extract Data | User Info

Paste_Image.png

然后再Name输入框，输入双引号中的字符串 “user<>”，在Passwork录入框，输入双引号中的字符串“secret<>”，然后点击** Login **。然后我们会得到应用给出的告警信息，告知我们使用了可能会危害应用的非法字符。

登陆信息

告警提示

如此我们验证了，这些字符是表单不允许的，同时由于在代理的HTTP history标签页没有看到应用向后台发请求的记录，我们推断该校验为前端客户端校验。下面我们来绕过该校验吧。再次点击**Intercept is off **按钮，开启请求拦截功能。按下按钮后，如下图：

开启拦截

下一步是，用合法有效的用户名和密码（user/secret）登陆，此时代理会拦截请求，如下图，然后我们修改 username 和 password 参数的值，添加非法字符 <> 。

Paste_Image.png

Paste_Image.png

如果要发送修改后的请求并停止拦截请求，点击** Intercept is on ，如果要发送修改后的请求并保持拦截请求状态，点击 Forward **。这里我们关闭后续拦截操作，并查看结果：

请求结果

总结

跟上一篇文章中提到的一样，我们先发起一个有效的通过客户端校验的请求，在代理处拦截，修改请求内容再发给服务器，从而绕过前端校验，这一过程在渗透测试中是非常有用和重要的。但是，如果要更加深入的了解被测应用的安全机制和漏洞，我们需要根据对系统的理解，添加、删除或替换更多的参数，观察不同的响应，来做进一步分析和判断。